Não (*). Quando o navegador está enviando requisições AJAX para um serviço, ele vai mandar todos os cookies relacionados ao domínio do serviço. Para proteger o cenário onde você navega para http://site.malvado.com/
, e o site manda um DELETE (ou POST, ou PUT) para http://seu.banco.com/contas
, se o site usa um mecanismo de autenticação simples baseado na presença de um cookie do usuário, então o site irá apagar as suas contas. Para prevenir esse tipo de ataque, quando um navegador (moderno) está enviando requisições para um domínio que não seja o da página, ele segue o protocolo CORS, que requer uma requisição OPTIONS. Se o servidor está ciente da possibilidade desses ataques (ou seja, não usa uma forma de autenticação que seja vulnerável), então ele irá habilitar o CORS e saberá responder às requisições OPTIONS. Se o serviço não aceita o OPTIONS, então é possível que ele não esteja preparado para lidar com os ataques de cross-domain.
(*) No entanto, há situações em que você quer passar por cima dessa restrição. Algumas opções:
- utilização de um proxy no mesmo domínio da sua página: a sua página faz a requisição para um serviço na aplicação. Como o domínio é o mesmo da página, a restrição de CORS não existe. O navegador irá enviar os cookies do seu domínio, e o seu código no servidor (e.g., PHP, C#) pode fazer a requisição ao serviço final. Note que você não terá nenhum dos cookies daquele domínio, o que "salva" o serviço do ataque
- uso de algum plug-in no navegador: dependendo da implementação do plug-in ele pode ter acesso a todos os cookies, e na sua implementação, ele não tem restrição de CORS. Mas essa solução requer que o usuário instale o plug-in na sua máquina, o que limita bastante a sua utilização.